Stručná odpověď
Rozhodnutí předsedy Úřadu pro ochranu osobních údajů je individuální správní rozhodnutí, typicky vydané o rozkladu proti rozhodnutí ÚOOÚ v prvním stupni. Má číslo jednací, datum, označení účastníka a napadeného rozhodnutí, výrok a odůvodnění. Výrok může napadené rozhodnutí potvrdit, změnit nebo zrušit a je závazný pro účastníky konkrétního řízení. Pro právní rozbor je nutné číst výrok, skutkový stav, rozhodné právo a procesní historii.
Samostatná kolekce materiálů ÚOOÚ obsahuje především obecné webové stránky, metodiky, doporučení, informační materiály, přehled právního rámce a tiskové zprávy. Ty vysvětlují, jak ÚOOÚ chápe povinnosti správců nebo jak doporučuje postupovat, ale samy zpravidla nerozhodují konkrétní spor ani neukládají určité osobě pokutu či nápravné opatření. Jejich váha závisí na autorovi, právním základu, datu a povaze dokumentu.
Obě kolekce se doplňují. Metodika je vhodná pro návrh preventivního procesu, například posouzení vlivu DPIA. Rozhodnutí ukazuje, jak úřad použil pravidla na zjištěné skutečnosti a jak vypořádal námitky účastníka. Tisková zpráva může shrnout výsledek, ale nenahrazuje výrok ani úplné odůvodnění rozhodnutí. Při tvorbě pravidel pro úvěrová data je proto třeba vždy určit, zda citovaný text je závazným individuálním aktem, obecným doporučením, nebo pouhou komunikací o případu.
Rozhodnutí předsedy je rozhodnutím o konkrétním rozkladu
Indexovaná sbírka rozhodnutí předsedy obsahuje 88 správních rozhodnutí. Jsou označena rozhodujícím orgánem, spisovou nebo jednací značkou, datem a procesní polohou správního odvolání. Typický dokument začíná výrokem o rozkladu.
V rozhodnutí UOOU-00313/19-23 předsedkyně vystupovala jako odvolací orgán podle správního řádu. Výrok je jednoznačný:
„Rozklad podaný účastníkem řízení […] proti rozhodnutí čj. UOOU-00313/19-16 […] se zamítá a napadené rozhodnutí se potvrzuje.“
—
Takový dokument neřeší ochranu osobních údajů abstraktně. Přezkoumává konkrétní prvostupňové rozhodnutí, námitky účastníka a podklady ve správním spise. Jeho závěr je třeba vztáhnout k přesně vymezenému zpracování, době, účelu, opatřením a procesnímu postupu.
Rozhodnutí může být důležitým interpretačním vodítkem pro podobné případy, ale není zákonem. Jiný správce s jiným účelem, právním titulem, dobou uchování nebo bezpečnostními opatřeními může být posouzen odlišně.
Co lze z rozhodnutí zjistit
Rozhodnutí předsedy spojuje tři vrstvy. Výrok stanoví procesní výsledek. Skutková část popisuje, jaké zpracování a porušení byly zjištěny. Právní odůvodnění vysvětluje použití GDPR, českého zákona a správního řádu.
Případ UOOU-00313/19-23 se přímo týkal údajů žadatelů o zprostředkování půjček. Úřad vytýkal delší uchování po naplnění jednorázového účelu, nedostatečné informování a bezpečnostní opatření. Předsedkyně zdůraznila vztah přesnosti k účelu:
„Z čl. 5 odst. 1 písm. d) nařízení (EU) 2016/679 jednoznačně vyplývá, že přesnost osobních údajů je nutno hodnotit v závislosti na zvoleném účelu zpracování.“
—
Současně oddělila přesnost od existence právního titulu. Nově vytvořený účel nemohl zpětně napravit dřívější zpracování bez adekvátního právního důvodu. Pro úvěrový reporting je to podstatné: aktualizace nepřesného údaje sama neřeší otázku, zda jej správce směl získat, použít nebo dále uchovávat.
Metodika a doporučení mají obecný účel
Metodiky ÚOOÚ jsou určeny správcům, pověřencům a dalším osobám, které nastavují procesy. Stránka k DPIA například shromažďuje metodiku obecného posouzení vlivu a seznam operací, které požadavku na DPIA podléhají nebo nepodléhají.
„Materiály Úřadu, které mohou být důležitou pomůckou pro plnění povinností správce podle čl. 35 GDPR.“
—
Slovo „pomůcka“ vystihuje funkci. Metodika pomáhá určit kroky, dokumentaci a rizika, ale sama nerozhoduje, zda konkrétní společnost porušila GDPR. Při auditu může být důkazem očekávané regulatorní praxe; nesmí se však citovat jako individuální výrok proti jiné osobě.
Obecné právní přehledy mají ještě širší funkci. Stránka „Ochrana osobních údajů“ vysvětluje ústavní a unijní základ, vztah GDPR a zákona č. 110/2019 Sb. a rozdělení zpracování na všeobecnou oblast, veřejný pořádek a národní bezpečnost. Je vhodným rozcestníkem, nikoli náhradou znění předpisu.
„Základním právním předpisem regulujícím zpracování osobních údajů je nařízení Evropského parlamentu a Rady 2016/679 (GDPR) […].“
—
Tisková zpráva o rozhodnutí není rozhodnutí
Zvláštní pozornost vyžadují aktuality, které oznamují uloženou pokutu. Anglická zpráva ÚOOÚ o společnosti Avast uvádí, že úřad v pravomocném rozhodnutí uložil pokutu 351 milionů Kč a stručně popisuje důvody. Jde ale o komunikaci výsledku, ne o úplný správní akt.
Tisková zpráva může vynechat procesní námitky, přesné vymezení skutku, právní kvalifikaci jednotlivých výroků, způsob výpočtu pokuty nebo navazující soudní přezkum. Pro obecnou informaci je užitečná; pro přesnou právní větu je třeba získat rozhodnutí, případně soudní rozsudek.
Praktické pravidlo je jednoduché: přítomnost slov „pravomocné rozhodnutí“ v článku z článku rozhodnutí nedělá. Rozhodující je povaha dokumentu a oficiální zdroj, nikoli pouze jeho téma.
Rozdíl v metadatech a vyhledávání
Rozhodnutí předsedy lze hledat podle čísla jednacího, rozhodujícího orgánu, data, procesní fáze a právních otázek. Výsledkem je konkrétní správní případ. U metodik a webových stránek se hledá spíše podle tématu, například DPIA, cookies, kamerové systémy, obchodní sdělení nebo práva subjektu údajů.
Při hledání „osobní údaje“ v rozhodnutích se zobrazí spisy o konkrétních kontrolách, pokutách a rozkladech. Stejný dotaz v obecné kolekci vede k právním přehledům a doporučením. Smíšené hledání bez omezení zdroje může vrátit oba druhy a svádět k jejich stejné váze.
Jakou autoritu má který dokument
Nejprve má přednost závazný právní předpis: GDPR, zákon č. 110/2019 Sb. a další zvláštní zákony. Individuální rozhodnutí pak závazně řeší konkrétní věc jeho účastníků a ukazuje aplikaci pravidel. Pravomocný soudní rozsudek o přezkumu může správní rozhodnutí potvrdit, zrušit nebo korigovat jeho právní názor.
Metodika nebo doporučení představují oficiální názor a praktické vodítko. Jejich přesvědčivost roste, jsou-li aktuální, konkrétní a opřené o znění práva a evropská vodítka. Nemohou však rozšířit zákonnou povinnost za její text. Tisková zpráva má nejčastěji informační funkci a je vhodná jako cesta k původnímu aktu.
Použití pro politiku úvěrových dat
Při návrhu systému je vhodné použít obecné metodiky k prevenci: určit účely, právní tituly, dobu uchování, přesnost, bezpečnost, práva lidí a potřebu DPIA. Rozhodnutí předsedy slouží k testu, jak může úřad hodnotit konkrétní selhání, například pokračující uchování údajů po naplnění účelu nebo chybějící nápravná opatření.
U každé citace má interní dokument zaznamenat typ autority, datum a konkrétní podporované tvrzení. Pokud se metodika a starší rozhodnutí liší, je třeba ověřit změnu práva, skutkový rozdíl a případný soudní přezkum, nikoli mechanicky vybrat text s přísnějším nebo mírnějším závěrem.
Závěr
Rozhodnutí předsedy ÚOOÚ je individuální správní akt o konkrétním rozkladu, s výrokem závazným pro účastníky a s odůvodněním založeným na zjištěných faktech. Samostatná kolekce ÚOOÚ obsahuje obecná vysvětlení, metodiky, doporučení a zprávy. Ty pomáhají nastavit soulad a pochopit postoj úřadu, ale neukládají samy o sobě konkrétní osobě povinnost nebo sankci. Spolehlivý právní rozbor musí tyto druhy dokumentů oddělit a tiskovou zprávu vždy dohledat k původnímu rozhodnutí.
Zdroje
This article provides general legal information, not advice for a specific matter. Laws, facts and procedural deadlines may change the result. Follow the linked primary sources and obtain local advice before acting.